Cara menggunakan
- Atur Panjang dengan slider atau kolom angka. 16 karakter atau lebih adalah pilihan default yang baik untuk kata sandi yang disimpan di pengelola kata sandi.
- Pilih jenis karakter: Huruf besar, Huruf kecil, Angka, dan Simbol. Opsi "Sertakan setiap jenis yang dipilih" aktif secara default dan memastikan setiap kata sandi berisi minimal satu karakter dari tiap jenis.
- Bila perlu, aktifkan Kecualikan karakter mirip (seperti l, 1, dan O) atau Kecualikan simbol ambigu, atau isi Kecualikan karakter dengan karakter tertentu yang ditolak oleh suatu situs.
- Klik Buat, periksa label Kekuatan dan entropinya, lalu salin satu kata sandi atau klik Salin semua.
Apa yang membuat kata sandi kuat
Untuk kata sandi yang dibuat secara acak, kekuatan diukur sebagai entropi: length × log2(pool size) bit, dengan pool size adalah ukuran kumpulan karakter tempat setiap karakter diambil. Setiap bit tambahan menggandakan jumlah tebakan yang diperlukan. Panjang mengalikan entropi, sedangkan kumpulan karakter yang lebih besar hanya menambah sedikit per karakter, sehingga panjanglah yang menentukan: kata sandi 16 karakter berhuruf kecil memiliki sekitar 11 juta kali lebih banyak kemungkinan daripada kata sandi 8 karakter yang mencampur keempat jenis.
| Panjang | Karakter | Kumpulan | Entropi |
|---|---|---|---|
| 4 | Angka (PIN) | 10 | 13,3 bit |
| 8 | Huruf kecil | 26 | 37,6 bit |
| 8 | Keempat jenis | 89 | 51,8 bit |
| 12 | Huruf dan angka | 62 | 71,5 bit |
| 16 | Huruf kecil | 26 | 75,2 bit |
| 16 | Keempat jenis | 89 | 103,6 bit |
| 20 | Keempat jenis | 89 | 129,5 bit |
Di sini, keempat jenis menghasilkan kumpulan berisi 89 karakter: 26 + 26 + 10 + 27 simbol. Alat ini menampilkan entropi yang dibulatkan ke bawah menjadi bilangan bit bulat. Angka-angka tersebut hanya berlaku untuk kata sandi acak; kata sandi yang dikarang sendiri oleh seseorang memiliki entropi jauh lebih rendah daripada yang tersirat dari panjangnya.
Rekomendasi NIST SP 800-63B
NIST SP 800-63B, pedoman federal Amerika Serikat untuk autentikasi digital, ditujukan bagi layanan yang memeriksa kata sandi. Revisi terbarunya, SP 800-63B-4, menyatakan bahwa layanan tersebut:
- wajib mensyaratkan minimal 15 karakter jika kata sandi menjadi satu-satunya faktor, atau 8 karakter jika digunakan bersama faktor lain, dan sebaiknya mengizinkan setidaknya 64 karakter;
- tidak boleh menerapkan aturan komposisi seperti "satu huruf besar, satu angka, dan satu simbol", maupun penggantian berkala, tetapi wajib memaksa penggantian jika ada bukti bahwa kata sandi telah dibobol;
- wajib memeriksa kata sandi baru terhadap daftar blokir berisi kata sandi yang umum digunakan, mudah ditebak, atau telah bocor;
- sebaiknya menerima semua karakter ASCII yang dapat dicetak beserta spasi, serta mengizinkan penempelan agar pengelola kata sandi dapat berfungsi.
Bagi pengguna, pelajarannya sama: yang penting adalah panjang dan keacakan, sedangkan substitusi yang mudah ditebak seperti P@ssw0rd1 tidak membantu.
Pengelola kata sandi dan frasa sandi
Kata sandi yang dipakai ulang sering kali lebih berisiko daripada kata sandi yang pendek: setelah terjadi kebocoran data, penyerang mencoba pasangan email dan kata sandi yang bocor di situs lain (credential stuffing). Gunakan kata sandi acak yang berbeda untuk setiap akun dan biarkan pengelola kata sandi mengingatnya; dengan begitu, kata sandi 20 karakter sama mudahnya dengan kata sandi 8 karakter.
Untuk segelintir kata sandi yang Anda ketik dari ingatan, seperti kata sandi utama pengelola kata sandi, frasa sandi (passphrase) lebih praktis: kata-kata yang dipilih secara acak, misalnya dengan dadu dan EFF long word list. Setiap kata dari 7.776 entri daftar tersebut menambahkan sekitar 12,9 bit, sehingga enam kata memberikan sekitar 77,5 bit. Alat ini membuat kata sandi berupa karakter, bukan frasa sandi; untuk kunci API dan rahasia mesin lainnya, gunakan generator Base64 acak.
Cara kerja generator ini
Kata sandi dibuat di perangkat Anda dengan crypto.getRandomValues(), generator bilangan acak bawaan browser yang aman secara kriptografis, dan tidak pernah dikirim atau disimpan. Operasi modulo biasa akan membuat sebagian karakter sedikit lebih sering muncul, jadi alat ini menggunakan rejection sampling: nilai acak 32 bit yang sama dengan atau lebih besar daripada kelipatan terbesar dari ukuran kumpulan karakter akan diambil ulang, dan setiap karakter memiliki peluang yang persis sama.
Kecualikan karakter mirip menghapus i l 1 L o 0 O, berguna jika kata sandi dibacakan atau diketik dari kertas, seperti kunci Wi-Fi. Kecualikan simbol ambigu menghapus tanda kurung, garis miring, tilde, dan , ; : ., yang tidak ditangani dengan baik oleh sebagian formulir, shell, dan file konfigurasi, sehingga yang tersisa adalah ! @ # $ % ^ & * - _ = + ?. Keduanya memperkecil kumpulan karakter, jadi tambahkan satu atau dua karakter pada panjangnya sebagai kompensasi.
Pertanyaan yang sering diajukan
Seberapa panjang kata sandi yang seharusnya?
Minimal 15 karakter untuk akun yang hanya dilindungi kata sandi, yaitu batas minimum yang ditetapkan NIST SP 800-63B-4 untuk kata sandi faktor tunggal. Dengan pengelola kata sandi, 16 hingga 24 karakter acak sama sekali tidak merepotkan. Untuk kata sandi yang sering Anda ketik, pertimbangkan frasa sandi berisi lima atau enam kata acak.
Apakah aman menggunakan kata sandi yang dibuat di sebuah situs web?
crypto.getRandomValues(), dan kata sandi tidak dikirim, dicatat, maupun disimpan. Salin kata sandi yang Anda perlukan langsung ke pengelola kata sandi Anda.Apa arti entropi dalam bit?
Entropi adalah logaritma basis 2 dari jumlah kata sandi yang dapat dihasilkan oleh pengaturan Anda. 80 bit berarti ada 2 pangkat 80 kemungkinan kata sandi, dan setiap bit tambahan menggandakan upaya untuk menebaknya. Nilai ini menggambarkan cara kata sandi dibuat, sehingga hanya berlaku untuk kata sandi acak.
Haruskah saya mengganti kata sandi secara rutin?
Tidak perlu mengikuti jadwal tetap. NIST SP 800-63B-4 meminta layanan untuk tidak memaksakan penggantian berkala, karena orang cenderung menanggapinya dengan variasi yang mudah ditebak. Ganti kata sandi jika suatu layanan melaporkan kebocoran, jika kata sandi tersebut muncul dalam data yang bocor, atau jika Anda menduga ada orang lain yang mengetahuinya.
Apakah mewajibkan setiap jenis karakter membuat kata sandi lebih kuat?
Tidak. Opsi "Sertakan setiap jenis yang dipilih", yang aktif secara default, hanya memastikan kata sandi diterima oleh situs yang memiliki aturan komposisi. Alat ini membuang dan membuat ulang kata sandi yang tidak memuat salah satu jenis yang dipilih; hal ini meniadakan sebagian kombinasi dan sedikit menurunkan entropi sebenarnya, terutama pada kata sandi pendek, sehingga angka yang ditampilkan merupakan batas atas. Menambah panjang adalah cara yang lebih baik untuk meningkatkan kekuatan.